Hjemme- og kontornetværk kolliderer over VPN: tre løsninger

Din klient rapporterer forbundet, og tunnelen er oppe, men kontorets filserver svarer fra et sted i køkkenet. Begge ender kører normalt 192.168.1.0/24, fordi det er det, forbrugerroutere leveres med, og ingen rute løser en tvetydighed, der findes på begge sider på én gang. Fejlen kan se ud som en brudt tunnel eller en brudt server, og det er ingen af delene. Afgør, hvilken kollision du har, før du rører en konfiguration, fordi typerne har forskellige løsninger, og kun én af dem handler om routing.

En tilsluttet rute slår alt, hvad du skubber

En vært kalder en adresse lokal, når en tilsluttet rute dækker den. På en bærbar computer, hvis eget interface er 192.168.1.20/24, er adressen 192.168.1.50 en nabo, så pakken forlader gennem hjemmeinterfacet og når aldrig tunnelen.

At skubbe en rute til kontopræfikset ændrer intet, fordi præfikset allerede findes som et direkte tilsluttet netværk. Styresystemet bliver ved med at svare fra den tilsluttede post, og den konsulteres, før tunnelen bliver spurgt om noget. Du kan selv se rækkefølgen: ip route get 192.168.1.50 navngiver hjemmeinterfacet, ikke tunnelen. Den fjerne ende spejler problemet, fordi kontorrouteren også tror, at den bærbares hjemmeområde tilhører den.

Stille kollisioner ud over den åbenlyse

Ikke hvert tilfælde er en routingbeslutning. En hjemme-DHCP-leje kan lande præcis på den adresse, kontorserveren har, og så taler klienten med sig selv, mens tunnelen ikke bærer noget.

Navne kolliderer på samme måde. To maskiner, der deler et computernavn, ødelægger navnebaserede værktøjer, selv når hver pakke routes korrekt, og en hosts-post, der peger på kontoradressen, fejler, når den lokale maskine allerede ejer navnet, fordi lokal opløsning vinder. Omdøb den lokale maskine, eller brug det fuldt kvalificerede navn i stedet for at redigere hosts.

Hypervisorer tilføjer et tredje tilfælde. En kun-vært-adapter sidder normalt på 192.168.56.0/24, hvilket kan kollidere med et virksomhedsområde, som ingen husker er i brug.

Omnummerér den side, du ejer

Omnummerering fjerner tvetydigheden i stedet for at undgå den, og i et hjemmekontor er det den side, du ejer. Vælg noget, der ikke vises andre steder, og list hver enhed med en statisk adresse, før du rører routeren.

10.0.0.0/8 og 172.16.0.0/12 er de sædvanlige kandidater. Firmwarestandarderne, 192.168.0.0/24 og 192.168.1.0/24, er præcis det, der skal efterlades.

Omnummerering af kontoret er sjældent på bordet, og en hjemmeomnummerering koster en aften med at tilslutte printere og stik igen. Det er stadig billigere end en omvej, der gentages på hver bærbar i virksomheden.

Udgiv et område, der ikke kan kollidere

Hvor kontorområdet skal blive, gør tunnelsiden sværere at kollidere med. At udskære klientpuljen som et lille præfiks i stedet for at låne et helt /24 giver en specifik rute i stedet for en bred.

Hvis gatewayen kan oversætte, udgiv kontoundernettet under et aliasområde, så klientens destination ikke kan falde ind i dens eget LAN. Et site-til-site-design kan give hvert site sit eget alias, hvilket holder to kunder med identisk nummerering adskillelige.

Oversættelse er ikke gratis. Den skal køre i begge retninger og dække kildeadressen og destinationen, og applikationer, der skriver adresser ind i deres egen nyttelast, vil ignorere den fuldstændigt. Det gør den til svaret, når omnummerering er umulig, og antallet af klienter er lille.

Vælg efter, hvad du kan ændre

En eller to bærbare derhjemme: omnummerér hjemme-LAN'et. Et administreret kontor, der ikke kan omnummerere: aliasoversættelse ved gatewayen. Gentagen nummerering på tværs af kundesites: aliaser pr. site, planlagt én gang. Når kun navnebaserede værktøjer fejler, så behandl det som en navnekollision og ikke som en routingfejl.

Uanset hvad du vælger, test mod en adresse, der kun findes på den fjerne side. At pinge din egen router siger intet om, hvilket netværk der svarede.